La transformation numérique change continuellement la pile technologique de l’entreprise. Ce qui était auparavant des périmètres sécurisés contrôlés de manière centralisée, des endpoints émis par l’entreprise et une infrastructure sur site a évolué en un réseau tentaculaire, et en constante augmentation, de services logiciels, d’infrastructures cloud et de services d’application décentralisés.
Pour preuve, suivez simplement l’argent. Selon le cabinet de recherche Futurum, les entreprises dépensent désormais environ 700 milliards
USD par an pour des projets de transformation numérique. Non seulement l’entreprise typique dispose de plus de 200 applications activement utilisées, mais 60 % de ces applications se chiffrent tous les deux ans, selon l’étude de l’entreprise. Cela signifie que d’ici 2023, 60 % des applications utilisées aujourd’hui seront remplacées.
C’est un taux stupéfiant, qui est désormais époustouflant pour les organisations en raison des défis qu’il présente pour la cybersécurité. « Tout ce changement rapide a bouleversé les approches traditionnelles de la sécurité », a déclaré Andy Ellis, directeur consultatif de la sécurité de l’information (RSSI) pour Orca Security, une société de sécurité du cloud, et ancien directeur de la sécurité chez Web-security outfit Akamai Technologies. « Jeter plus de corps humains au problème n’est pas la réponse. Elle n’évolue pas. »
Pour suivre le rythme des efforts rapides de transformation numérique de leur organisation et atténuer les problèmes de sécurité, les DSI et les RSSI doivent suivre ces cinq pratiques.
Intégrer la sécurité à la transformation numérique
Difficile de croire qu’il faut toujours le dire, mais les équipes de sécurité doivent être impliquées tôt dans toute nouvelle initiative numérique. Période. « La sécurité doit être incluse dans les conversations précoces importantes et pendant la planification », déclare John D. Johnson, cadre supérieur de la sécurité de l’information dans une grande entreprise de transformation des aliments.
De cette manière, ajoute-t-il, « nous avons une responsabilité si quelque chose se produit, et nous avons un rôle vital à jouer dans la protection de l’entreprise. Il n’y a aucun moyen d’être efficace pour sécuriser de nouvelles initiatives numériques en venant seulement réparer les choses lorsque quelque chose se casse. Nous devons participer à l’ensemble de la conversation afin de pouvoir aider à établir une feuille de route plus sécurisée pour que l’organisation puisse tirer parti du nouveau marché numérique. »
Le tissage de la sécurité dans l’ensemble de l’organisation n’inclut pas uniquement la prise de décision de l’ensemble du processus de transformation numérique. La sécurité doit également faire partie des décisions commerciales quotidiennes, telles que les applications que l’organisation déploie, les fonctionnalités ajoutées à ces applications, l’emplacement où les données sont stockées et qui peut accéder à ces données.
« Vous voulez que tout le monde avance sur la même voie et comprenne l’importance du changement commercial », déclare Scott Crawford, responsable de la recherche sur la sécurité de l’information chez 451 Research. « Cela signifie que vous devez avoir une sensibilisation des utilisateurs et que vous devez travailler à la création d’une culture d’entreprise saine. »
Sécurité de quart gauche
Bien que la sécurité doive être intégrée tout au long de votre transformation numérique, elle est particulièrement vraie pour les processus DevOps et le développement d’applications logicielles. Wim Remes, PDG et fondateur du cabinet belge de conseil en sécurité de l’information Wire Security, en a pris connaissance directement. DevOps peut entraîner une meilleure qualité et sécurité des logiciels et peut le faire de manière cohérente, dit-il, mais « il nécessite que les capacités de sécurité soient bien alignées sur le développement et les opérations informatiques qui prennent en compte le modèle de menace des logiciels et surveillent en permanence les défauts qui seront corrigés. »
« Tout ce changement rapide a bouleversé les approches traditionnelles de la sécurité. »Andy Ellis, RSSI consultatif pour Orca Security
Chris Blow, directeur de la sécurité offensive chez Liberty Mutual Insurance, accepte et ajoute : Lorsque la sécurité est correctement intégrée au développement, la cyberdéfense est intégrée au pipeline de développement au lieu de se produire après le déploiement du logiciel. « Cela rend le développement sécurisé évolutif et rapide », déclare Blow.
Automatisez ce que vous pouvez
Les processus manuels ne évoluent pas, ce qui entraîne l’augmentation de l’automatisation des processus dans un large éventail d’applications et de workflows d’entreprise, du suivi comptable des factures à l’intégration des RH. L’automatisation réduit les erreurs humaines, augmente la productivité et augmente la satisfaction des employés en libérant les travailleurs pour qu’ils puissent effectuer des tâches de niveau supérieur. L’automatisation doit également être un objectif de cybersécurité .
Heureusement, l’augmentation des interfaces de programmation d’applications (API) et la capacité à automatiser les opérations de sécurité, telles que les analyses de sécurité des applications, les évaluations de vulnérabilité et de configuration du système, et le provisionnement des utilisateurs, rendent cela possible.
« Les entreprises doivent réfléchir en termes de tests et de validation de sécurité automatisés continus », déclare Crawford.
Ellis est d’accord, ajoutant : « Aujourd’hui, la sécurité repose en grande partie sur la capacité à automatiser. Vous devez automatiser pour arrêter de passer du temps à effectuer des tâches reproductibles. Si vous ne le faites pas déjà, vous êtes en retard. » Pour prendre de l’avance, ou du moins pour rattraper le retard, il conseille aux équipes de sécurité et de technologie d’utiliser des API modernes et des capacités d’intégration pour surveiller les configurations réseau afin de détecter les problèmes de sécurité. « Vous devez comprendre comment rendre les intégrations bon marché et faciles afin de pouvoir les surveiller facilement », dit-il.
Maintenir l’hygiène
Lorsque les systèmes sont rapidement déployés, les bases de la sécurité doivent également être adoptées rapidement. Cela signifie que les systèmes doivent être corrigés et à jour, que les configurations système doivent être correctement définies, que les endpoints et les réseaux doivent être analysés pour détecter les menaces et les logiciels malveillants, que les données et les systèmes doivent être sauvegardés et que les services inutiles doivent être arrêtés, entre autres éléments essentiels de la santé de la sécurité.
« L’hygiène de base doit être en place pour disposer d’une agilité du système, car si vous n’avez pas d’hygiène de base, il est difficile d’effectuer des capacités plus sophistiquées pendant une nouvelle initiative ou transformation », déclare M. Johnson de Campbell.
[Lire également : Cyberhygiène : la gestion proactive des risques commence ici]
Crawford est d’accord. « Il est important de prendre du recul et de s’assurer que vous disposez d’un inventaire cohérent des actifs en place et des personnes chargées de les maintenir et de les sécuriser à mesure que l’empreinte technologique évolue », déclare-t-il.
Se concentrer sur des données réglementées de plus grande valeur
Il existe un modèle statistique que les banquiers d’investissement utilisent pour quantifier l’étendue des pertes possibles au sein d’une société financière, d’un portefeuille ou d’une position sur une période spécifique. C’est ce qu’on appelle la valeur à risque (VaR). Pour les RSSI évaluant le risque de sécurité de leur organisation, la VaR est devenue un outil de plus en plus important.
Les responsables de la sécurité doivent quantifier leurs risques numériques en fonction de la valeur des systèmes et des données, ce qui facilite leur capacité à prendre des décisions d’investissement en cybersécurité. Le modèle de cyber VaR examine la perte financière potentielle causée par un incident de sécurité, son délai et la probabilité qu’elle se produise. Cela permet aux RSSI de discuter des risques de cybersécurité dans un contexte commercial avec les dirigeants clés.
Il est essentiel de se concentrer sur les risques importants. Si les équipes de sécurité souhaitent suivre le rythme des efforts de transformation numérique de leur organisation, elles doivent être bien informées de son score de risque. Sinon, ils seront submergés par l’inconnu.
« Les équipes de sécurité sont souvent trop petites pour couvrir tout ce qui se produit au sein d’une organisation un jour donné », déclare Crawford. « Donc, s’ils tentent de tout protéger comme s’il s’agissait d’un secret national, ils ne seront probablement pas en mesure de protéger très bien quoi que ce soit pendant longtemps. »
